处理很少在本地 LAN 上的加入域的笔记本电脑？

Question

我们有很多笔记本电脑，如果有的话，很少连接到本地 LAN。由于他们无法经常联系域控制器，让他们加入域并不能很好地工作 - 缓存的密码最终会过期，新用户无法登录等。

现在我们通过将它们保留为工作组计算机来处理它，并在其上设置本地帐户。

然而，这意味着失去所有组策略设置、远程控制、软件安装、来自 AD 的清单以及成为域一部分的所有其他优势。基本上，在更新软件或更新我们的库存时，我的工作比我想要的要困难得多。

其他人如何处理？

• 一些笔记本电脑连接到我们办公室的 wifi，所以应该能够与 DC 通信，但在用户登录之前似乎没有连接到 wifi，所以他们仍然无法登录。
• 一些笔记本电脑连接到其他人的 wifi。是否可以在用户登录之前让它们连接到无线和 VPN，以便它可以与 DC 通信？
• 其他笔记本电脑使用蜂窝网络棒，这需要软件客户端才能连接，因此在登录之前可能无法连接。但是如果登录，Windows 会更新其缓存的帐户密码，然后连接到 VPN，以便它可以与他们登录后的 DC？
• 笔记本电脑是 Windows 7 和 XP 的 50/50 组合。

我目前的几乎解决方案是加入笔记本电脑域，并要求用户每隔几周通过以太网电缆连接到办公室网络一次。哪个有效，但不是每个人都会记得或能够做到这一点。

Answer 1

根据他们必须在域内完成的工作，考虑使用终端服务器（或只是公司网络内的主机）。

他们甚至可以使用他们的私有硬件（如果他们愿意），并且您可以完全控制终端服务器。只需通过 VPN 或直接通过 RDP 授予他们访问权限（如果您信任 Microsoft 协议:)

OpenVPN 还将具有一项服务功能，您可以在系统启动时连接到 VPN。您可以将其与证书身份验证（无法从证书存储中导出）和吊销列表（不允许用户再连接）结合起来。

openvpn 配置需要编辑如下内容：

ca "YOUR_CA.pem"
cryptoapicert "SUBJ:OpenVPN-Client"

需要将证书（具有匹配的主题名称）导入用户证书存储区（启动 openvpn 服务的用户）